PHP 语言安全团队发布了紧急安全更新，以解决两个被称为 PHP2Shell 的严重远程代码执行 (RCE) 漏洞。这两个漏洞的编号分别为 CVE-2026-109618 和 CVE-2026-109619，允许未经授权的攻击者控制受影响的服务器。
漏洞详情及影响
这些漏洞是由 Calif、OpenAI 和 Wiz 公司的研究人员共同发现的。这些漏洞的严重性在于它们影响所有处理 Web 请求的 PHP 运行环境，包括 PHP-FPM、带有 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed。
PHP 安全团队解释称，最大的风险在于 mod_php 配置，未经授权的攻击者可以在任何应用程序代码启动之前执行攻击。这两个漏洞源于一个核心问题，即在请求异常终止时内存处于损坏状态，这为利用该漏洞执行远程代码打开了大门。
管理员所需采取的措施
系统管理员必须立即将服务器更新至以下安全版本：8.5.12、8.4.27、8.3.36 或 8.2.35。对于不再接收官方更新的旧版本（7.4、8.0、8.1），PHP 团队提供了补丁（backports），以帮助保护仍依赖这些版本的系统。
为何此消息重要？
PHP 语言是全球约 75% 至 80% 网站的支柱，包括 WordPress 和 Drupal 等知名平台。鉴于有超过 500 万台 PHP 服务器暴露在互联网上，利用这些漏洞构成了广泛的威胁。Cloudflare 公司证实，他们已经监测到针对这些漏洞的早期利用尝试，这促使英国国家网络安全中心 (NCSC) 向各机构发出紧急警告，要求立即更新或将系统从网络中隔离。
临时缓解措施
如果无法立即更新，PHP 安全团队提供了一些缓解措施以降低被利用的风险，包括：
- 针对 CVE-2026-109618：将 memory_limit 设置为 -1，并将 post_max_size 减小到 8MB（或在需要上传文件时设置为 32MB）。
- 针对 CVE-2026-109619：将 session.upload_progress.enabled 设置为 0；在 8.5 版本中，将 fatal_error_backtraces 设置为 0 并重启工作进程 (workers)。
开发人员强调，这些措施不能提供全面保护，官方更新是确保服务器永久安全的唯一途径。